PUA.Win32.RManSys.AA

Wird möglicherweise von anderer Malware eingeschleust.

Übertragungsdetails

Wird möglicherweise von der folgenden Malware eingeschleust:

• Backdoor.Win32.RMSRAT.THAABCAH

Installation

Schleust die folgenden Dateien ein:

• %Application Data%\RMS_settings\Logs\rms_log_{year}-{month}.html -> logs of connections

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Application Data%\RMS_settings\Logs

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\RMSServerGlobal
• Global\RMSServerConfig
• Global\RMSGlobalHost
• Global\RMSServerGlobalStarter
• madExceptSettingsMtx{random characters}

Andere Systemänderungen

Löscht die folgenden Ordner:

• %Windows%\Temp\winserv.madExcept

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\tektonit

HKEY_CURRENT_USER\Software\tektonit\
Remote MANIPULATOR System

HKEY_CURRENT_USER\Software\tektonit\
Remote MANIPULATOR System\Host

HKEY_CURRENT_USER\Software\tektonit\
Remote MANIPULATOR System\Host\Parameters
Options = {hex values}

HKEY_CURRENT_USER\Software\tektonit\
Remote MANIPULATOR System\Host\Parameters
notification = {hex values}

HKEY_CURRENT_USER\Software\tektonit\
Remote MANIPULATOR System\Host\Parameters
Password = {hex values}

HKEY_CURRENT_USER\Software\tektonit\
Remote MANIPULATOR System\Host\Parameters
InternetId = {hex values}

HKEY_CURRENT_USER\Software\tektonit\
Remote MANIPULATOR System\Host\Parameters
FUSClientPath = %All Users Profile%\AsusGesture\rfusclient.exe

HKEY_CURRENT_USER\Software\tektonit\
Remote MANIPULATOR System\Host\Parameters
CalendarRecordSettings = {hex values}